Puppet 指南

Puppet 使用以下工作流，将配置应用到系统。

Red Hat Satellite 6 以多种方式使用 Puppet：

这些功能为用户提供了使用 Puppet 控制应用程序生命周期的系统配置方面的简单方法。

如果需要，若要查找卫星环境中使用的 Puppet 版本，请查看 软件包清单。

卫星 6 中 Puppet 的性能会影响卫星和胶囊存储容量、CPU 性能和可用内存，而非应用限制。因此，测试您的硬件和配置是确保性能可为您接受的唯一方法。

有关推荐的存储和系统要求的详情，请参考 从 连接的网络安装 Satellite 中的准备您的环境。

在创建模块之前，我们需要了解创建 Puppet 模块的组件。

Puppet 开发系统可用于创建和测试您自己的模块。

创建新模块的第一步是更改到 Puppet 模块目录并创建基本的模块结构。手动创建此结构，或使用 Puppet Development Kit 为您的模块创建样板：

# cd /etc/puppetlabs/code/modules
# pdk new module user_name-module_name

此时会出现交互式向导，指导您使用元数据填充模块的 metadata.json 文件。如需更多信息，请参阅 Puppet Development Kit 文档中的 创建一个模块。

模块生成过程完成后，新模块包含一些基本文件，包括 清单目录。此目录已经包含一个名为 init.pp 的清单文件，它是模块的主清单文件。查看文件以查看该模块的空类声明：

class mymodule {


}

该模块还包含 示例 目录，其中包含一个名为 init.pp 的清单。此测试清单包含对 manifests/init.pp 中的 mymodule 类的引用：

include::mymodule

Puppet 将使用此测试清单来测试模块。

现在，我们已准备好将系统配置添加到我们的模块中。

我们的 Puppet 模块将安装运行 HTTP 服务器所需的软件包。这需要一个资源定义来为 httpd 软件包定义配置。

在模块的清单目录中 ， 创建一个名为 httpd.pp 的新清单文件：

# touch mymodule/manifests/httpd.pp

此清单将包含我们模块的所有 HTTP 配置。为了进行组织，我们将将此清单与 init.pp 清单分开。

在新的 httpd.pp 清单中添加以下内容：

class mymodule::httpd {
  package { 'httpd':
    ensure => installed,
  }
}

此代码定义了名为 httpd 的 mymodule 的子类，然后定义 httpd 软件包的软件包资源声明。ensure latex installed 属性告知 Puppet 检查是否安装了软件包。如果没有安装，Puppet 将执行 yum 来安装它。

我们还需要将这个子类包含在我们的主清单文件中。编辑 init.pp 清单：

class mymodule {
  include mymodule::httpd
}

现在需要测试模块。运行以下命令：

# puppet apply mymodule/examples/init.pp --noop
...
Notice: /Stage[main]/Mymodule::Httpd/Package[httpd]/ensure: current_value absent, should be present (noop)
...

此输出通知消息是 ensure InventoryService installed 属性 的结果。current_value absent 表示 Puppet 已经检测到没有安装 httpd 软件包。如果没有 --noop 选项，Puppet 将安装 httpd 软件包。

puppet apply 命令将清单中的配置应用到您的系统。我们使用 test init.pp 清单，它引用 init.pp 清单。--noop 对配置执行空运行，它只显示输出，但不实际应用配置。

安装 httpd 软件包后，我们使用另一个资源声明 服务 启动该服务。

编辑 httpd.pp 清单并添加突出显示的行：

class mymodule::httpd {
  package { 'httpd':
    ensure => installed,
  }
  service { 'httpd':
    ensure => running,
    enable => true,
    require => Package["httpd"],
  }
}

这可实现几个问题：

再次运行 puppet apply 命令，以测试对模块的更改：

# puppet apply mymodule/tests/init.pp --noop
...
Notice: /Stage[main]/Mymodule::Httpd/Service[httpd]/ensure: current_value stopped, should be running (noop)
...

此输出通知消息是 httpd 服务的新资源定义的结果。

HTTP 服务器现已安装并启用。下一步是提供一些配置。HTTP 服务器已在 /etc/httpd/conf/httpd.conf 中提供一些默认配置，它在端口 80 上提供一个 Web 服务器。我们将添加一些额外的配置，以便在用户指定的端口上提供额外的 Web 服务器。

我们使用模板文件来存储配置内容，因为用户定义的端口需要变量输入。在我们的模块中，创建一个名为 templates 的目录，并在新目录中添加名为 myserver.conf.erb 的文件。在文件中添加以下内容：

Listen <%= @httpd_port %>
NameVirtualHost *:<%= @httpd_port %>
<VirtualHost *:<%= @httpd_port %>>
  DocumentRoot /var/www/myserver/
  ServerName <%= @fqdn %>
  <Directory "/var/www/myserver/">
    Options All Indexes FollowSymLinks
    Order allow,deny
    Allow from all
  </Directory>
</VirtualHost>

此模板遵循 Apache Web 服务器配置的标准语法。唯一的区别是包含 Ruby 转义字符来注入我们模块的变量。例如，httpd_port，我们用来指定 Web 服务器端口。

另请注意包含 fqdn 的变量，它是存储系统的完全限定域名的变量。这称为系统事实。系统事实是在生成各个系统的 Puppet 目录之前从每个系统收集而来。Puppet 使用 facter 命令收集这些系统事实，您也可以运行事实来查看这些事实的列表。

编辑 httpd.pp 清单并添加突出显示的行：

class mymodule::httpd {
  package { 'httpd':
    ensure => installed,
  }
  service { 'httpd':
    ensure => running,
    enable => true,
    require => Package["httpd"],
  }
  file {'/etc/httpd/conf.d/myserver.conf':
  notify => Service["httpd"],
    ensure => file,
    require => Package["httpd"],
    content => template("mymodule/myserver.conf.erb"),
  }
  file { "/var/www/myserver":
    ensure => "directory",
  }
}

这可实现：

我们还需要将 httpd_port 参数包含在我们的主清单文件中。编辑 init.pp 清单，添加以下文本，以粗体显示：

class mymodule (
  $httpd_port = 8120
) {
  include mymodule::httpd
}

这会将 httpd_port 参数设置为默认值 8120。您可以使用 Satellite 服务器覆盖这个值。

再次运行 puppet apply 命令，以测试对模块的更改：

# puppet apply mymodule/tests/init.pp --noop
...
Notice: /Stage[main]/Mymodule::Httpd/File[/var/www/myserver]/ensure: current_value absent, should be directory (noop)
...
Notice: /Stage[main]/Mymodule::Httpd/File[/etc/httpd/conf.d/myserver.conf]/ensure: current_value absent, should be file (noop)
...

这些输出会看到消息显示创建配置文件和 Web 服务器目录。

Web 服务器需要一个开放端口，以便用户可以访问在我们的 Web 服务器上托管的页面。开放问题是，不同版本的 Red Hat Enterprise Linux 使用不同的方法来控制防火墙。对于 Red Hat Enterprise Linux 6 及以下，我们使用 iptables。对于 Red Hat Enterprise Linux 7，我们使用 firewalld。

这一决策是使用条件逻辑和系统事实来处理的 Puppet。对于此步骤，我们添加一个语句来检查操作系统并运行相应的防火墙命令。

在您的 mymodule::httpd 类中添加以下代码：

  if versioncmp($::operatingsystemmajrelease, '6') <= 0 {
    exec { 'iptables':
      command => "iptables -I INPUT 1 -p tcp -m multiport --ports ${httpd_port} -m comment --comment 'Custom HTTP Web Host' -j ACCEPT &amp;&amp; iptables-save > /etc/sysconfig/iptables",
      path => "/sbin",
      refreshonly => true,
      subscribe => Package['httpd'],
    }
    service { 'iptables':
      ensure => running,
      enable => true,
      hasrestart => true,
      subscribe => Exec['iptables'],
    }
  }
  elsif $operatingsystemmajrelease == 7 {
    exec { 'firewall-cmd':
      command => "firewall-cmd --zone=public --add-port=${httpd_port}/tcp --permanent",
      path => "/usr/bin/",
      refreshonly => true,
      subscribe => Package['httpd'],
    }
    service { 'firewalld':
      ensure => running,
      enable => true,
      hasrestart => true,
      subscribe => Exec['firewall-cmd'],
    }
  }

这个代码执行以下操作：

再次运行 puppet apply 命令，以测试对模块的更改。以下示例是 Red Hat Enterprise Linux 6 的测试：

# puppet apply mymodule/tests/init.pp --noop
...
Notice: /Stage[main]/Mymodule::Httpd/Exec[iptables]/returns: current_value notrun, should be 0 (noop)
...
Notice: /Stage[main]/Mymodule::Httpd/Service[iptables]: Would have triggered 'refresh' from 1 events
...

这些输出通知消息显示防火墙规则创建和执行，以及后续服务刷新（subscription 属性）。

SELinux 默认限制对 HTTP 服务器的非标准访问。如果我们定义了自定义端口，则需要添加允许 SELinux 授予访问权限的配置。

Puppet 包含用于管理某些 SELinux 功能的资源类型，如布尔值和模块。但是，我们需要执行 semanage 命令来管理端口设置。这个工具是 policycoreutils-python 软件包的一部分，默认情况下未在 Red Hat Enterprise Linux 系统上安装。

在您的 mymodule::httpd 类中添加以下代码：

  exec { 'semanage-port':
    command => "semanage port -a -t http_port_t -p tcp ${httpd_port}",
    path => "/usr/sbin",
    require => Package['policycoreutils-python'],
    before => Service['httpd'],
    subscribe => Package['httpd'],
    refreshonly => true,
  }
  package { 'policycoreutils-python':
    ensure => installed,
  }

这个代码执行以下操作：

再次运行 puppet apply 命令，以测试对模块的更改。

# puppet apply mymodule/tests/init.pp --noop
...
Notice: /Stage[main]/Mymodule::Httpd/Package[policycoreutils-python]/ensure: current_value absent, should be present (noop)
...
Notice: /Stage[main]/Mymodule::Httpd/Exec[semanage-port]/returns: current_value notrun, should be 0 (noop)
...
Notice: /Stage[main]/Mymodule::Httpd/Service[httpd]/ensure: current_value stopped, should be running (noop)
...

Puppet 首先安装 policycoreutils-python，然后在启动 httpd 服务前配置端口访问权限。

HTTP 服务器配置现已完成。这为安装基于 Web 的应用程序提供了一个平台，供 Puppet 进行配置。但在本示例中，我们将仅将一个简单索引网页复制到我们的网页上。

在文件目录中创建一个名为 index.html 的文件。在该文件中添加以下内容：

<html>
  <head>
    <title>Congratulations</title>
  <head>
  <body>
    <h1>Congratulations</h1>
    <p>Your puppet module has correctly applied your configuration.</p>
  </body>
</html>

在 manifests 目录中创建一个名为 app.pp 的清单。在该文件中添加以下内容：

class mymodule::app {
  file { "/var/www/myserver/index.html":
    ensure => file,
    mode   => '755',
    owner  => root,
    group  => root,
    source => "puppet:///modules/mymodule/index.html",
    require => Class["mymodule::httpd"],
  }
}

这个新类包含单个资源声明。此声明将模块的文件目录从 Puppet 服务器复制到系统，并设置其权限。此外，require 属性可确保 mymodule::httpd 类在应用 mymodule::app 前成功完成配置。

最后，将这个新清单包括在我们的主 init.pp 清单中：

class mymodule (
  $httpd_port = 8120
) {
  include mymodule::httpd
  include mymodule::app
}

再次运行 puppet apply 命令，以测试对模块的更改。输出应类似于以下内容：

# puppet apply mymodule/tests/init.pp --noop
....
Notice: /Stage[main]/Mymodule::App/File[/var/www/myserver/index.html]/ensure: current_value absent, should be file (noop)
...

此输出通知消息显示 index.html 文件将复制到 web 服务器。

我们的模块已经可供使用。要将模块导出到要使用的 Red Hat Satellite 6 的归档中，请输入以下命令：

# puppet module build mymodule

这会在 mymodule/pkg/mymodule-0.1.0.tar.gz 中创建一个存档文件，其中包含 mymodule 目录的内容。我们将此模块上传到我们的红帽卫星 6 服务器，以调配我们自己的 HTTP 服务器。

如果需要进行任何更改，请编辑模块目录中的文件并使用 puppet 模块构建命令重建模块。只有在模块版本增加时，更改才会反映在 Satellite 中。要增加版本号，请编辑 /etc/puppetlabs/code/modules/mymodule/metadata.json 文件，然后重新重建模块。在卫星服务器中上传并发布新版本。

Puppet 环境定义为一组隔离的 Puppet 代理节点，可与一组特定的 Puppet 模块关联。在卫星环境中，我们可以将 Puppet 环境视为一组运行与一组 Puppet 模块关联的 Puppet 代理的主机。例如，与环境 Production 关联的节点只能访问 环境 Production 中的模块。

Puppet 环境用于将 Puppet 模块与不同类型的主机分隔开。典型的用途是启用在一个环境中测试模块的更改，然后再推送到另一个环境。Puppet 模块可以包含事实和功能，以及您可以分配给主机的一个或多个 Puppet 类。模块是环境的一部分，Puppet 类只是环境的一部分，因为它们是模块的一部分。

在 Red Hat Satellite 中，如果 CV 有 Puppet 模块，则会自动为内容视图创建一个 Puppet 环境。自动创建的 Puppet 环境名称包括组织标签、生命周期环境、内容视图名称和内容视图 ID。例如，KT_Example_Org_Library_RHEL6Server_3。

在 Red Hat Satellite 中创建 Puppet 环境

请注意，如果 Puppet master 上不存在环境，并且您随后运行导入，则会提示 Satellite 删除环境。

将 Puppet 环境导入到 Red Hat Satellite

卫星可以检测 Puppet master 中包含的所有环境和 Puppet 模块，再自动导入它们。要做到这一点，进入 Configure > Environments 并点 Import from 按钮。按钮名称将包含内部或外部胶囊的 FQDN。卫星将通过胶囊扫描 Puppet 宿主，并显示检测到的更改的列表。选择您要应用的更改，然后选择 Update 以应用更改。

请注意，胶囊将仅检测包含一个或多个 Puppet 类的环境，因此请确保至少有一个包含类的 Puppet 模块已部署到 Puppet 宿主。

将 Puppet 环境分配给主机

导航到 Hosts > All Hosts，从 Hosts 列表中选择一个主机名，然后选择 Edit。在 Host 选项卡上，您可以为主机 选择 Puppet 环境。选择一个环境将过滤 Puppet Classes 选项卡中的类，以帮助区分所选环境中的类。

您可以将环境重新分配到一组主机。在 Hosts 列表中选择所需主机的复选框，然后从页面顶部的 Select Action 下拉菜单中选择 Change Environment。

将 Puppet 环境分配给主机组

在创建 主机组 时，环境字段将预先填充（若有）由关联的内容视图自动创建的环境。

默认情况下，创建新主机的用户并选择 主机组 将自动具有预选的环境。用户可以更改新主机的环境。

Red Hat Satellite 参数定义置备主机时要使用的键值对。它们类似于 Puppet 的默认范围参数的概念。您可以在使用 Puppet 设置主机时定义参数。

以下参数层次结构适用于简单参数：

配置的参数包含在每个主机的对应 YAML 文件中，并发送到 Puppet 宿主。YAML 文件可在特定主机的页面中的 Web UI 中查看。您不应该手动更改 /etc/foreman/settings.yaml 配置文件，因为它们在下次运行 satellite-installer 命令时被覆盖。

以下步骤配置类中的参数。包含参数的类被称为参数化类。

智能类参数对所有机构都很常见。具有 edit_external_parameters 权限的用户都可以编辑这些参数。如果要限制权限编辑智能类参数，请参阅 KCS 解决方案 Restrict 权限来编辑 puppet 类及其智能类参数，它们在多个机构之间常见。

配置智能类参数

例如，若要为 Default_Location 位置的任何主机的 Puppet master 提供 test 值，请完成以下步骤：

例如，若要为 Default_Location 位置和 开发环境中 任何主机的 Puppet master 提供参数值，请完成以下步骤：

您可以使用父主机组将事实应用到多个主机组的成员。

以下是在 Puppet 智能类参数匹配器中创建和使用多个自定义事实及其值的示例。

以下流程配置智能变量以覆盖 Puppet 类中的值。

配置智能变量

如需有关 ERB 语法的更多信息，请参阅 管理主机 中的模板编写参考。

以下过程从 Puppet 宿主导入参数化类。

导入参数化类

智能变量是为 Puppet 宿主提供全局参数的工具，可用于包含智能类参数。智能变量和智能类参数使用相同的智能匹配规则。

在引入智能类参数前，希望覆盖一个参数的用户（需要重写其 Puppet 代码以使用全局参数）。例如：

class example1 {
  file { '/tmp/foo': content => $global_var }
}

对于上例，在 Web UI 的 Smart Variables 部分中设置了 $global_var，其值与 "example1" 类相关联。虽然建议在全局变量前面带有 :: 以限制 Puppet 搜索全局范围，但它们没有表示变量不是全局变量。

在引入 Smart Class Parameters 时，可以使用以下格式：

class example2($var="default") {
  file { '/tmp/foo': content => $var }
}

在上例中，web UI 的 Smart Class Parameters 部分中设置了 $var，其值与 "example2" 类关联。如果您看到类标头中定义的变量，如上面的 类 example2($var="default") 中所述，您可以确定 $var 是一个类参数，且您应该使用 Smart Class Parameter 功能覆盖变量。

如上所示，智能变量需要使用全局命名空间参数来自定义模块，而不是来自 Puppet 社区的标准模块，其结果与上述示例中的"/tmp/foo"中放入的文本相同。因此，除了支持旧模块外，不再使用智能卡验证。

虽然智能变量是全局变量，但它们与 Puppet 类关联，并且仅发送到在卫星中分配了特定 Puppet 类的主机。您可以使用任何名称创建智能变量，不会在卫星中执行验证，除非应用的 Puppet 模块在其代码中具有匹配的变量，否则不会使用智能变量。

Satellite 将您在 Satellite 中创建的变量添加到 Host YAML 文件中。可在 Web UI 中查看此文件，方法是导航到 Hosts > All Hosts，选择主机的名称，然后单击 YAML 按钮。卫星将主机 YAML 文件发送到 外部节点分类器 (ENC)，这是 Puppet 宿主中包含的功能。当 Puppet 宿主查询有关主机的 ENC 时，ENC 会返回描述主机状态的 YAML 文档。此 YAML 文档基于从 Puppet 清单获取的数据，但受智能类参数覆盖和任何智能清单。

class anothermodule {
   file { '/tmp/motd':
     ensure  => file,
     content => $::content_for_motd,
  }
}

本例将为 $::content_for_motd 参数提供值。

Puppet 通常在 agent/master（也称为 client/server）架构中运行，其中 Puppet 服务器控制重要配置信息，受管主机（客户端）仅请求自己的配置目录。Puppet 配置两个步骤的主机：

在 agent/master 设置中，Puppet 客户端会发送通过 Facter 和其他信息收集的事实到 Puppet 宿主。Puppet 宿主根据这些事实编译目录，然后将此目录发送到客户端。客户端会发送它进行的所有更改的报告，或者在已使用 --noop 参数时进行 Puppet 宿主，后者将结果发送到 Foreman。此目录描述了一个特定主机所需的状态。它列出了要管理该主机上的资源，包括这些资源之间的任何依赖项。代理将目录应用到主机。

默认情况下，master 和代理之间的通信每 30 分钟进行。您可以使用 runinterval 参数在 /etc/puppetlabs/puppet/puppet.conf 文件中指定不同的值。您还可以运行 puppet 代理来 手动启动通信。

Facter 是 Puppet 的系统清单工具，包含大量内置事实。您可以在本地主机上命令行中运行 Facter，以显示事实名称和值。您可以使用自定义事实扩展 Facter，然后使用这些事实将主机的特定站点详细信息公开给 Puppet 清单。您还可以使用 Facter 提供的事实在 Puppet 中通知条件表达式。

Puppet 基于资源来确定系统状态；例如，您可以告知 Puppet httpd 服务应始终处于运行状态，并且 Puppet 知道如何处理它们。如果要管理不同的操作系统，您可以使用 osfamily 事实来创建条件表达式，以告知 Puppet 哪个服务监视或要安装的软件包。您可以使用 operatingsystemmajrelease 和 versioncmp 参数根据不同版本的同一操作系统创建条件表达式。下例演示了将条件表达式与事实搭配使用。

if $::osfamily == 'RedHat' {
  if $::operatingsystemmajrelease == '6' {
   $ntp_service_name = 'ntpd'
   }

  elseif versioncmp($::operatingsystemmajrelease, '7') >= 0 {
   $ntp_service_name = 'chrony'
   }
 }

Puppet 也会设置其他行为类似于事实的特殊变量。如需更多信息，请参阅 Puppet 和 核心事实 添加的特殊变量。

红帽卫星 6 控制所有卫星胶囊上 Puppet 宿主的主要配置。不需要额外的配置，建议避免手动修改这些配置文件。例如，主 /etc/puppetlabs/puppet/puppet.conf 配置文件包含以下 [master] 部分：

[master]
    autosign       = $confdir/autosign.conf { mode = 664 }
    reports        = foreman
    external_nodes = /etc/puppetlabs/code/node.rb
    node_terminus  = exec
    ca             = true
    ssldir         = /var/lib/puppet/ssl
    certname       = sat6.example.com
    strict_variables = false

    manifest       = /etc/puppetlabs/code/environments/$environment/manifests/site.pp
    modulepath     = /etc/puppetlabs/code/environments/$environment/modules
    config_version =

本节包含变量（如 $环境变量），Satellite 6 用于为不同的环境创建配置。

一些 Puppet 配置选项显示在 Satellite 6 web UI 中。导航到 Administer > Settings 并选择 Puppet 子选项卡。此页面列出了一组 Puppet 配置选项和各个选项的描述。

作为调配过程的一部分，卫星 6 将 Puppet 安装到系统。此过程还会在所选胶囊上安装 /etc/puppetlabs/puppet/puppet.conf 文件，该文件将 Puppet 配置为 Puppet 宿主的代理。此配置文件在卫星 6 中存储为置备模板片段。导航到 Hosts > Provisioning 模板，再点击 puppet.conf 片断来查看它。

默认的 puppet.conf 片段包含以下代理配置：

[agent]
pluginsync      = true
report          = true
ignoreschedules = true
daemon          = false
ca_server       = <%= @host.puppet_ca_server %>
certname        = <%= @host.certname %>
environment     = <%= @host.environment %>
server          = <%= @host.puppetmaster %>

此片段包含一些模板变量，它们如下：

我们首先使用以下步骤定义新主机的 Puppet 配置。此流程使用上传的 mymodule 作为示例。

在置备过程中应用客户端的配置

置备过程开始。卫星 6 将安装所需的配置工具，作为卫星 Kickstart 默认 置备模板的一部分。此置备模板包含以下内容：

<% if puppet_enabled %>
# and add the puppet package
yum -t -y -e 0 install puppet

echo "Configuring puppet"
cat > /etc/puppetlabs/puppet/puppet.conf << EOF
<%= snippet 'puppet.conf' %>
EOF

# Setup puppet to run on system reboot
/sbin/chkconfig --level 345 puppet on

/usr/bin/puppet agent --config /etc/puppetlabs/puppet/puppet.conf -o --tags no_such_tag <%= @host.puppetmaster.blank? ? '' : "--server #{@host.puppetmaster}" %> --no-daemonize
<% end -%>

本节执行以下操作：

在新的主机上完成置备和配置过程后，请在 Web 浏览器中通过用户定义的端口访问主机。例如，导航到 http://newhost.example.com:8120/。您的浏览器中应该显示以下消息：

Congratulations

Your puppet module has correctly applied your configuration.

您可能希望将 Puppet 配置应用到未通过 Red Hat Satellite 6 置备的现有客户端。在这种情况下，在将 Puppet 注册到红帽卫星 6 后，在现有客户端上安装和配置 Puppet。

将现有系统注册到 Red Hat Satellite 6。有关注册现有主机的详情，请参考 管理主机指南中的注册主机。https://access.redhat.com/documentation/zh-cn/red_hat_satellite/6.10/html/managing_hosts/registering_hosts

要安装并启用 Puppet 代理：

配置 Puppet 代理